Glofox: তথ্য ফাঁস

যাচাইকৃত ডেটার ধরনগুলো হলো জন্মতারিখ, ইমেইল ঠিকানা, লিঙ্গ, নাম, পাসওয়ার্ড ও ফোন নম্বর। ইমেইল ঠিকানা ও নাম ব্যবহার করে ভুয়া লগইন সতর্কতা, সদস্যপদ নবায়নের বার্তা, রিজার্ভেশন বিজ্ঞপ্তি বা পাসওয়ার্ড রিসেটের ফাঁদ তৈরি করা যায়। ফোন নম্বর থাকলে SMS-এর মাধ্যমে প্রতারণা এবং ভুয়া সহায়তা কলের জন্য আরও একটি যোগাযোগের পথ খুলে যায়। জন্মতারিখ ও লিঙ্গসংক্রান্ত তথ্য আক্রমণকারীকে বার্তাটি আরও ব্যক্তিগত বলে মনে করাতে সাহায্য করে। শুধু ইমেইল ফাঁস হওয়ার তুলনায় এসব তথ্য একসঙ্গে থাকলে সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকি বেশি হয়।

পাসওয়ার্ড ফিল্ডটির দিকে বিশেষ নজর দেওয়া প্রয়োজন। আধুনিক নিরাপত্তার মানদণ্ড অনুযায়ী সল্টবিহীন MD5 হ্যাশকে দুর্বল হিসেবে বিবেচনা করা হয়; দুর্বল পাসওয়ার্ড দ্রুত অনুমান করা বা আগের ফাঁস হওয়া ডেটার সঙ্গে মিলিয়ে দেখা সম্ভব। ব্যবহারকারী ইমেইল, জিমের অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম বা অন্য অনলাইন সেবায় একই পাসওয়ার্ড ব্যবহার করে থাকলে ঝুঁকি Glofox অ্যাকাউন্টের বাইরেও ছড়িয়ে পড়ে। প্লেইনটেক্সট পাসওয়ার্ড যাচাই করা না হলেও হ্যাশের ধরনটি দুর্বল হওয়ায় পাসওয়ার্ড বদলানো এবং একই পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করাকে জরুরি পদক্ষেপ হিসেবে নেওয়া উচিত।

ঘটনার যাচাইকৃত তারিখ নির্ধারণ করা হয়েছে 2020 সালের 27 মার্চের আর্কাইভ ডেটার ভিত্তিতে, আর তালিকাভুক্তির তারিখ হিসেবে নথিভুক্ত রয়েছে 2021 সালের 10 জানুয়ারি। তাই ব্যবহারকারীর তথ্য অনুসন্ধানে Glofox-এর ফলাফল পাওয়া গেলে সেটিকে 2025 সালের নতুন কোনো ডেটা ফাঁসের ঘটনা হিসেবে ব্যাখ্যা করা ঠিক নয়। পরবর্তী তারিখগুলো ভিন্ন তালিকায় ডেটা আবার দেখা যাওয়া, যাচাই করা বা সিস্টেমে যুক্ত হওয়ার সঙ্গে সম্পর্কিত হতে পারে; ঘটনাটি আসলে 2020 সালের মার্চ মাসের।

আর্থিক তথ্য, ক্রেডিট কার্ড ও অর্থ পরিশোধের পদ্ধতিসংক্রান্ত ডেটা উন্মুক্ত হয়েছে বলে নিশ্চিত করা হয়নি। বিজ্ঞপ্তিগুলোতে জোর দিয়ে বলা হয়েছে যে প্লেইনটেক্সট পাসওয়ার্ড নেই; তাই প্রকাশিত বিবরণে পাসওয়ার্ডকে প্লেইনটেক্সট আকারে ফাঁস হয়েছে বলে উপস্থাপন করা হয় না। একই সঙ্গে, পাসওয়ার্ড হ্যাশ সুরক্ষায় দুর্বল পদ্ধতি ব্যবহৃত হওয়ায় ব্যবহারকারীদের যে পদক্ষেপ নেওয়া প্রয়োজন, তা বদলে যায় না। প্রতিবেদনে অতিরঞ্জিত দাবি এড়িয়ে ফোন নম্বর, জন্মতারিখ ও পাসওয়ার্ড হ্যাশ একসঙ্গে থাকার ঝুঁকি স্পষ্টভাবে ব্যাখ্যা করা উচিত।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁদের Glofox-এর মাধ্যমে জিম বা ফিটনেস স্টুডিওর সদস্যপদ রয়েছে এবং যাঁরা অন্য অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করেন। তাঁদের ইমেইল ঠিকানা ও পাসওয়ার্ড হ্যাশ ব্যবহার করে আক্রমণকারী অন্য সেবায় লগইন করার চেষ্টা শুরু করতে পারে। দ্বিতীয় গোষ্ঠীতে আছেন সেই সদস্যরা, যাঁরা ফোন নম্বর ও জন্মতারিখ দিয়েছেন। এসব তথ্য ব্যবহার করে ব্যক্তিগত বলে মনে হয় এমন বার্তা পাঠানো যেতে পারে, যেমন ভুয়া সদস্যপদ নবায়ন, ভুয়া ক্লাস বুকিং, অর্থ পরিশোধসংক্রান্ত ভুয়া সতর্কতা বা অ্যাকাউন্টের নিরাপত্তা বিজ্ঞপ্তি।

তৃতীয় ঝুঁকিপূর্ণ গোষ্ঠীতে আছেন সেই ব্যক্তিরা, যাঁরা কাজ, জিম, স্বাস্থ্য, সামাজিক যোগাযোগমাধ্যম ও আর্থিক অ্যাকাউন্টের জন্য একই ইমেইল ঠিকানা ব্যবহার করেন। জিমের সদস্যপদকে সরাসরি স্বাস্থ্যসংক্রান্ত ডেটা হিসেবে শ্রেণিবদ্ধ করা উচিত নয়। তবে জিমের প্রেক্ষাপটে ব্যক্তিগত দৈনন্দিন রুটিন, জীবনযাপন ও যোগাযোগের তথ্যের সঙ্গে এটি যুক্ত হলে গোপনীয়তার ঝুঁকি বাড়ে। তাই Glofox-এর সঙ্গে নিজের তথ্যের মিল দেখতে পেলে ব্যবহারকারীদের শুধু জিমের অ্যাকাউন্ট নয়, একই লগইন তথ্যের সঙ্গে যুক্ত সব গুরুত্বপূর্ণ অ্যাকাউন্ট পর্যালোচনা করা উচিত।

প্রথম পদক্ষেপ হলো Glofox বা সংশ্লিষ্ট জিমের অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড বদলে একটি স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড দেওয়া। অন্য অ্যাকাউন্টে একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে সেগুলোর প্রতিটির জন্য নতুন ও আলাদা পাসওয়ার্ড বেছে নেওয়া উচিত। ইমেইল অ্যাকাউন্টও সুরক্ষিত রাখা উচিত, কারণ পাসওয়ার্ড রিসেটের লিংক প্রায়ই ইমেইলের মাধ্যমে পাঠানো ও ব্যবস্থাপনা করা হয়। গুরুত্বপূর্ণ অ্যাকাউন্টগুলোতে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত এবং সম্ভব হলে একবার ব্যবহারযোগ্য কোডের অ্যাপ বা নিরাপত্তা কীকে অগ্রাধিকার দেওয়া উচিত।

জিম বা রিজার্ভেশনসংক্রান্ত ইমেইল ও SMS বার্তায় থাকা Glofox-এর লিংকে সরাসরি ক্লিক করা উচিত নয়। সদস্যপদ নবায়ন, ক্লাস বুকিং, অর্থ পরিশোধের সমস্যা বা অ্যাকাউন্টের নিরাপত্তাসংক্রান্ত সতর্কতা পেলে ব্যবহারকারীর উচিত নিজে ঠিকানা লিখে প্রবেশ করে সেটি যাচাই করা। ফোনে কথা বলার সময় পাসওয়ার্ড, যাচাইকরণ কোড বা অর্থ পরিশোধের তথ্য দেওয়া উচিত নয়। জন্মতারিখ ও ফোন নম্বর ফাঁস হয়ে থাকতে পারে বলে পরিচয় যাচাইয়ের প্রশ্নে শুধু এই তথ্যগুলোকে পরিচয়ের প্রমাণ হিসেবে বিবেচনা করা উচিত নয়।

দীর্ঘমেয়াদে ব্যবহারকারীদের জিম, ই-কমার্স ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা, পাসওয়ার্ড ম্যানেজার দিয়ে শক্তিশালী পাসওয়ার্ড তৈরি করা এবং পুরোনো অ্যাকাউন্টে অপ্রয়োজনীয় ব্যক্তিগত তথ্য কমিয়ে রাখা উচিত। ফোন নম্বর ও জন্মতারিখের মতো স্থায়ী তথ্য বদলানো কঠিন; তাই ফাঁসের কয়েক বছর পরও প্রতারণামূলক বার্তায় সেগুলো আবার দেখা যেতে পারে। ব্যবহারকারী পুরোনো ফিটনেস অ্যাকাউন্ট আর ব্যবহার না করলে অ্যাকাউন্টের সেটিংস ও যোগাযোগের পছন্দগুলো সীমিত করা এবং প্রোফাইলে অপ্রয়োজনীয় তথ্য কমিয়ে রাখা উচিত।

Glofox-এর ডেটা ফাঁস দেখায় যে সদস্যপদ ব্যবস্থাপনার সিস্টেমে পাসওয়ার্ডের নিরাপত্তা ও ব্যক্তিগত প্রোফাইলের তথ্য একসঙ্গে সুরক্ষিত রাখা প্রয়োজন। হ্যাশ করা পাসওয়ার্ডের দুর্বল সুরক্ষার সঙ্গে ফোন নম্বর ও জন্মতারিখ যুক্ত হলে দীর্ঘমেয়াদি ঝুঁকি তৈরি হয়। নিয়মিত পাসওয়ার্ডের নিরাপত্তা বজায় রাখা, ইমেইল সুরক্ষিত রাখা, SMS-ভিত্তিক প্রতারণার বিরুদ্ধে সতর্ক থাকা এবং অ্যাকাউন্ট পুনরুদ্ধারের মাধ্যমগুলো সুরক্ষিত রাখা, এসব পুরোনো ডেটা ফাঁসের তথ্য আবার কাজে লাগানোর সম্ভাবনা কমায়।

LeakData-তে Glofox-এর সঙ্গে তথ্যের মিল পাওয়া ব্যবহারকারীদের ফলাফলটিকে 2020 সালের 27 মার্চের জিমের সদস্যপদ ও অ্যাকাউন্টের ডেটাসংক্রান্ত ঘটনা হিসেবে বিবেচনা করা উচিত। মিল পাওয়া মানেই যে ক্রেডিট কার্ড বা অর্থ পরিশোধের পদ্ধতিসংক্রান্ত ডেটা নিশ্চিতভাবে ফাঁস হয়েছে, তা নয়। তবে ইমেইল, ফোন নম্বর, জন্মতারিখ, লিঙ্গ, নাম ও পাসওয়ার্ড হ্যাশের কারণে অ্যাকাউন্টের নিরাপত্তা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তা নিয়ে ঝুঁকি রয়েছে। ব্যবহারকারীর করণীয়ের মূল লক্ষ্য হওয়া উচিত পাসওয়ার্ড বদলানো, ইমেইল অ্যাকাউন্টের নিরাপত্তা জোরদার করা এবং ফোনের মাধ্যমে আসা ভুয়া বিজ্ঞপ্তি যাচাই করা।

এই ঘটনায় সবচেয়ে উপযুক্ত পন্থা হলো কার্ডের তথ্য ফাঁস নিয়ে আতঙ্ক সৃষ্টি না করে নিজের অ্যাকাউন্টের নিয়ন্ত্রণ নেওয়া এবং সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকি কমানো। আপনার উচিত Glofox-এর পাসওয়ার্ড বদলানো, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের নিরাপত্তা ঠিক করা, বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা এবং জিম বা রিজার্ভেশনসংক্রান্ত বার্তা অফিশিয়াল লগইন ব্যবস্থার মাধ্যমে যাচাই করা। এসব পদক্ষেপ পুরোনো আর্কাইভে সংরক্ষিত ডেটা ফাঁসের তথ্য নতুন প্রতারণার চেষ্টায় ব্যবহৃত হওয়ার সম্ভাবনা উল্লেখযোগ্যভাবে কমায়।